NGINX & PHP Cookie 會(huì)話中 PHPSESSID 缺少 HTTPOnly、Secure 屬性解決方案
1 / 說明
基于安全的考慮，需要給cookie加上Secure和HttpOnly屬性，HttpOnly比較好理解，設(shè)置HttpOnly=true的cookie不能被js獲取到，無法用document.cookie打出cookie的內(nèi)容。Secure屬性是說如果一個(gè)cookie被設(shè)置了Secure=true，那么這個(gè)cookie只能用https協(xié)議發(fā)送給服務(wù)器，用http協(xié)議是不發(fā)送的。
會(huì)話cookie中缺少Secure屬性會(huì)導(dǎo)致攻擊者可以通過非HTTPS頁面竊取到用戶的cookie信息，造成用戶cookie信息的泄露。
cookie中的Secure指的是安全性。通過設(shè)定cookie中的Secure，可以指定cookie是否只能通過https協(xié)議訪問。一般的cookie使用HTTP協(xié)議既可訪問，如果啟用Secure屬性，則瀏覽器僅僅會(huì)在HTTPS請(qǐng)求中向服務(wù)端發(fā)送cookie內(nèi)容。
在WEB應(yīng)用中，對(duì)于敏感業(yè)務(wù)，如：登錄或者付款，需要使用HTTPS來保證內(nèi)容的傳輸安全，而在用戶成功獲得授權(quán)之后，獲得的客戶端身份cookie如果沒有設(shè)置為Secure，那么很有可能會(huì)被非HTTPS頁面拿到，從而造成重要的身份泄露。
2 / PHP解決方案
PHP 5.6以后的版本：
① 簡(jiǎn)單粗暴直接修改php.ini文件
session.cookie_httponly=true
session.cookie_secure =
② 在php代碼中使用ini_set函數(shù)設(shè)置
ini_set(“session.cookie_httponly”, 1);
（單一入口框架加載index.php 入口文件即可）
③在調(diào)用 session_start()之前調(diào)用 session_set_cookie_params()函數(shù)設(shè)置
如果是框架需要修改底層代碼，老框架推薦前兩個(gè)粗暴有效的方法。
<?php private function startSession($time = 3600, $ses = 'MYSES') { session_set_cookie_params($time); session_name($ses); session_start(); if (isset($_COOKIE[$ses])) #第五個(gè)參數(shù) 設(shè)置為true setcookie($ses, $_COOKIE[$ses], time() + $time, "/", true); } ?>
3 / Nginx解決方案
● cookie沒有使用http-only；
● cookie沒有攜帶secure屬性；
● http頭中需要配置“X-Frame-Options：SAMEORIGIN”；
以上這幾點(diǎn)可以通過nginx的配置來輕松實(shí)現(xiàn)，具體方法就是在需要更改的網(wǎng)頁server的配置里面添加下面幾句話。
## 加載Nginx.conf 文件 http{ } 或 server{ }
add_header Set-Cookie “HttpOnly”;
add_header Set-Cookie “Secure”;
## 表示該頁面可以在相同域名頁面的 frame 中展示
add_header X-Frame-Options SAMEORIGIN;
?文章來源：http://www.zghlxwxcb.cn/news/detail-500647.html
————————————————
版權(quán)聲明：本文為CSDN博主「Ba?cker」的原創(chuàng)文章，遵循CC 4.0 BY-SA版權(quán)協(xié)議，轉(zhuǎn)載請(qǐng)附上原文出處鏈接及本聲明。
原文鏈接：https://blog.csdn.net/backerli/article/details/120465246文章來源地址http://www.zghlxwxcb.cn/news/detail-500647.html
到了這里，關(guān)于NGINX & PHP Cookie 會(huì)話中 PHPSESSID 缺少 HTTPOnly、Secure 屬性解決方案的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
